Administrace komentářů

Ty mamloje vejs neber vazne, jevne vubec netusej, jak to funguje.

1) iptables maji (defaultne) 3 tabulky - filter (default), nat a mangle (tu si vubec neuvadel)

2) tabulky maji svuj ucel, coz ale neznamena, ze je nejde znasilnit

3) nic nemen, pokud nevis co delas

4) jeste tam mas ip6tables, coz je totez pro IPv6.

a) ujasni si, kde je stroj v ramci zapojeni umistenej, z toho co pises je to zjevne GW do netu, cemuz odpovida i (velmi spatne nastaveny) firewall.

b) pokud plati to vejs, tak si ujasni, jaky interni stroje maji byt dostupny (to je ten dnat)

Prvni co muzes otestovat (pokud plati ze je to GW do netu), tak odnekud zvenku pustit na jeho externi IP (tu verejnou) nmap -p 1-65535 (aby to projelo vsechny porty). To ti rekne o otevrenych portech.

Kazdopadne nastavit solidne FW neni nic na desetiminutovy skoleni na abicku, obecne policy na DROP a pak se povoluje co treba. Ve tvym pripade je samo treba povolit porty pro zmineny sluzby (mail, web, ...), to se dela v input/output. Dal je treba (protoze to vypada na GW) osefovat interni sit - to je to co je ve forward.

Takovej zaklad zhruba:

-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Zlikviduje vadny pakety, povoli loopback, povoli odpoved na tebou zahajeny provoz.

-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

dtto, loopack se neforwarduje

V kazdym pripade bys pak mel pridat neco jako

-A FORWARD -s 172.17.16.0/20 -i eth0 -j DROP
-A FORWARD -d 172.17.16.0/20 -i eth0 -j DROP

Pri tom, ze eth0 vede do netu, zabranis tim utoku na interni sit, z(do) netu by nemely prijit privatni adresy. Muzes samo pridat i dalsi rozsahy.

-A FORWARD -s 172.17.16.0/20 -j do_netu
-A do_netu -p tcp -m tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT

Mala ukazka jak (pro policy drop) povolit pristup na web z daneho rozsahu - poslem si to do extra supliku, aby to nebyl bordel, a pak budem povolovat.

Velmi podobne muzes povolit sluzby, bezici primo na tom stroji (mail ...) jen to pises do inputu. Podobne povolis tomu stroji komunikovat ven (trebas kvuli mailu) jen do output

Bacha, NA PORADI ZALEZI a to naprosto zasadne !!! Pokud nevis co delas, nekoho si na to najmi! Tohle sou jen hinty aby sis udelal predstavu. Mam tu trebas firewall, kterej ma 500+ radku jen pro Ipv4 a dalsich 200+ pro Ipv6.